Truffle Securityは、TruffleHog Enterpriseの新機能となるTruffleHog AWS Analyzeを発表しました。TruffleHog AWS Analyzeは、発見したAWS認証情報にエンリッチメントを施し、権限やアクセスレベルを可視化します。これにより、セキュリティチームはリスクを評価し、対応の優先順位を付けられるようになります。
TruffleHog Enterpriseはすでに800種類以上のシークレットタイプにわたって漏えいした認証情報を発見・検証していますが、TruffleHog Analyzeの追加によって、まずSaaSプラットフォームとGoogle Cloudについて、そして今回新たにAWSについても、IDおよびアクセスに関するコンテキストを提供できるようになりました。この機能追加により、マルチクラウド環境を運用するチームは、漏えいしたシークレットを特定し、そのシークレットが何にアクセスできるかを把握した上で、3つのクラウド環境すべてにわたって対応の優先順位を付けられます。
TruffleHog AWS Analyze、漏えいした鍵の全容を可視化
AWS認証情報が一度漏えいすると、その影響範囲を把握するには、通常IDや権限、IAMの関係性を手作業で一つひとつ調べ上げる必要があります。TruffleHog AWS Analyzeは、この調査作業をセキュリティチームに代わって実行します。認証情報の背後にあるAWSユーザーまたはロールを特定し、実効権限をマッピングした上で、そのロールが追加でどのようなアクセス権を取得できる(スイッチ可能な)ロールかを明らかにすることで、対応担当者に被害範囲(ブラストラディウス)の全体像をより明確に示します。また、AWSが不完全な結果を返した場合にはその旨をフラグ表示するため、チームは分析結果が部分的なものにすぎないことを把握できます。
「エージェント型のワークフローは、どのチームも追跡しきれないほどの速さでAWS認証情報を作成・使用・露出させています。鍵が一度自動化プロセスに組み込まれると、本来の用途を超えてコピーされ再利用されるようになり、その存在を誰も覚えていないような状態になっても使われ続けることが少なくありません。漏えいした認証情報を特定すること自体も一つの課題ですが、それが実際にどこまでアクセスできるのかを把握するのはさらに困難です。TruffleHog AWS Analyzeは、同じワークフローの中でセキュリティチームにそのコンテキストを提供するため、何が露出したのかを正確に把握し、簡単に修復できるようになります」と、Truffle SecurityのCEOであるDylan Ayrey氏は述べています。
頻発するAWS鍵の露出、対応の遅れが常態化
AWSの鍵は、最も頻繁に漏えいする認証情報の一つであり、露出した後も長期間有効なまま放置されているケースが少なくありません。単一のAWS鍵はコンピューティング、ストレージ、データベースなど多岐にわたってアクセスできるため、鍵の漏えいは単に一つのシステムを危険にさらすだけでなく、他のあらゆるシステムを制御する権限までも露出させることになります。
Truffle Security Researchは最近、公開コード、コンテナイメージ、データセットから収集した64,024件のユニークな漏えいAWS鍵を検証し、そのうち88%が依然として有効であることを突き止めました。漏えいした鍵が有効な状態のまま放置されていた期間は中央値で5年に及び、これまでにローテーションされたことがある鍵はわずか14%にとどまりました。詳細に調査した鍵のうち84%が完全な管理者権限を保持しており、6件に1件はAWSアカウントへのアクセスを可能にするルート鍵でした。
さらに驚くべきことに、これらの認証情報のうち929件は、AWS自身の侵害鍵隔離ポリシーによってすでにフラグが立てられていました。中には3年以上前にフラグが立てられていたものもありましたが、そのすべてが依然として認証に成功する状態でした。AWSが露出を検知していたにもかかわらず、誰も修復していなかったのです。
TruffleHogがHugging Face上の7.6ペタバイトに及ぶ公開AI学習データをスキャンしたところ、同様の露出が大規模に見つかりました。3,343件の有効なAWS鍵が依然として稼働しており、そのうち900件超は、少なくとも51.7TBのプライベートデータを保持するS3バケットの一覧を取得できる状態でした。
「私たちはTruffleHogを使ってHugging Face Hubを積極的にスキャンしており、検証済みのシークレットを発見した場合には公開者にメールで通知しています。しかし、アラートはあくまで出発点にすぎません。Truffle Securityの調査結果は、漏えいした鍵は誰かがローテーションするまで脆弱なままであることを改めて示しています。認証情報の背後にあるIDとアクセス権をチームに可視化して見せることこそが、通知を実際の行動へとつなげる鍵なのです」と、Hugging FaceのCTOであるJulien Chaumond氏は述べています。
Hugging Face上でモデルやデータセットを公開している場合、検証済みのシークレットが検出されるとメール通知が届きます。ユーザーはhuggingface.co/settings/notificationsでこれらの通知が有効になっているかを確認できるほか、露出した鍵はすべて削除ではなくローテーションすることが推奨されます。
漏えいした鍵のすべてのインスタンスを発見・検証するTruffleHog Enterpriseの機能と組み合わせることで、TruffleHog AWS Analyzeはチームが迅速に対応するために必要なアクセスコンテキストを付加します。
翻訳元: https://www.helpnetsecurity.com/2026/08/25/trufflehog-aws-analyze-leaked-credentials/
